DNSSEC oder VPN: wat verstoppt Är DNS-Ufroen?

Zwéi Mechanismen kréien déiselwecht Aufgab a keen vun deenen zwee mécht se. DNSSEC äntwert, ob d’Donnéeën, déi Dir kritt hutt, wierklech aus der Zone kommen, déi se verëffentlecht, an eng VPN decidéiert, wéi ee Wee Är Pakete huelen. Keng vun deenen zwee verstoppt den Numm, no deem Dir gefrot hutt, an alle Fäll, an d’Astellunge, déi ausgesinn, wéi wann se dat missten, betreffen normalerweis den Transport oder d’Routing an net d’Validéierung. Wann Dir d’Schicht als éischt nennt, gëtt aus enger vag Privatsphärsfro eng konkret Fro.

Dräi Behauptungen, déi zu enger verschmëlzen

Authentizitéit ass d’Behauptung, datt d’Äntwert déi ass, déi d’Zone verëffentlecht huet, an net ënnerwee geännert gouf. Vertraulechkeet ass d’Behauptung, datt kee op dem Wee d’Ufro oder d’Äntwert liese kann. Routing ass d’Behauptung, datt d’Pakete engem Wee follegen, deen Dir gewielt hutt, an dat ass genee dat, wat en Tunnel bitt.

DNSSEC behandelt déi éischt an seet näischt iwwer déi aner zwou. DoT an DoH behandelen déi zweet fir de Sprong bis zum Resolver. Eng VPN behandelt déi drëtt a kann och déi zweet beaflossen, awer nëmmen als Nieweneffekt vun do wou den Trafike geet.

Applikatiounstraffik ass e véierte Fall: HTTPS schützt an authentifizéiert den Webaustausch tëscht Ärem Client an der Säit, an eng DNS-Schicht ersetzt dat net.

Wat d’Signaturvalidéierung kann an wat net

E validéierende Resolver kontrolléiert d’Kette vun de Signaturen vun der Zone bis zu engem konfiguréierten Vertrauensanker an gëtt dann eng Äntwert mat gesate Flagge fir authentifizéiert Donnéeën zréck, wann d’Kontroll geléngt. Dës Flagge si Beweis iwwer d’Donnéeën, net iwwer d’Verbindung oder d’Intentioune vum Zil.

Hie kann e legitimme Zonebesëtzer net drun hënneren, authentesch Andräg fir e Service ze verëffentlechen, deem Dir net solle vertrauen. Eng korrekt ënnerschriwwen Äntwert vun enger kompromittéierter Domain ass nach ëmmer korrekt ënnerschriwwen, an DNSSEC huet keng Meenung dozou, ob déi Domain Är Umeldungsinformatiounen verdéngt.

Et verstoppt och näischt. D’Ufro an d’Äntwert ginn duerch d’Netz an enger Form, déi e Resolver an all Observateur op deem Wee liese kann, ausser eng aner Schicht schützt den Transport. Eng ënnerschriwwen Äntwert an eng privat Äntwert sinn ënnerschiddlech Eegenschaften, an eng Ausrollung kann just eng dovun hunn. Test béid, wann eng dovun Iech wichtege ass.

Wou d’Vertraulechkeet tatsächlech hierkënnt

Verschlësselte Resolver-Transport packt den DNS-Austausch an TLS, sou datt de Resolver d’Fro nach gesäit, awer de Wee tëscht Iech an him net. Dat verréckelt Vertrauen, amplaz et ewechzehuelen: Dir vertraut dem Resolver méi an dem lokalen Netz manner.

Eng VPN kann Ufroe bis zu engem Resolver op der anerer Säit droen, wat souwuel de Wee wéi och de Resolver ännert, deen se gesäit. Dat ass eng Routingentscheedung mat enger Konsequenz fir d’Privatsphär, an an engem verwalteten Netz kann den internen Resolver deen eenzegen sinn, deen intern Nimm beäntwerten kann.

D’Kombinatioun, déi d’Leit wierklech wëllen, sinn normalerweis dräi Saachen op eemol: Validéierung un, verschlësselten Transport bis zu engem Resolver, deen se gewielt hunn, an Applikatiouns-TLS um Zil. Jiddwereen ass onofhängeg, an een ze iwwersprangen hannerléisst eng aner Lück.

Kontrolléiert Validéierung a Transport getrennt

Zwee Tester léisen de gréissten Deel vun der Konfusioun. Den éischten freet, ob de Resolver d’Äntwert validéiert huet; den zweeten, ob den Transport geschützt war. Si scheetere op ënnerschiddlech Manéieren a keen implizéiert deen aneren.

Dës Kommandoen drécken d’Flaggen aus enger validéierender Ufro, widderhuelen d’Ufro mat desaktivéierter Kontroll an droen d’lokal Validéierung mat delv duerch:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Eng Äntwert mat der Flagge fir authentifizéiert Donnéeën an enger präsenter Signatur weist Validéierung bei deem Resolver. En Validéierungsfehler mat delv weist eng gebrachen Kette iergendwou tëscht der Zone an dem Vertrauensanker, wat e Verëffentlechungsproblem an net e Tunnelproblem ass. En Timeout ganz ouni Flaggen ass en Transport- oder Erreechbarkeetsproblem, an en als Signaturfehler ze behandelen schéckt Iech op déi falsch Schicht.

Wat maachen, wann eng VPN d’Nokucken zerbricht

Wann d’Nokucken virum Tunnel funktionéiert huet an duerno ophält, vergläicht de Resolver, deen all Wee benotzt. Split-Tunneling, en internen Resolver, deen nëmmen duerch den Tunnel erreechbar ass, an e Client, deen d’Resolver-Astellunge iwwerschreift, änneren all d’Äntwert, ouni DNSSEC ze beréieren.

Validéierung global desaktivéiere ass de falschen éischte Schrëtt, well et deen eenzegen Mechanismus ewechhëlt, deen Iwwergrëff mëldet, an en net erreechbare Resolver net reparéiert. Grenzt fir d’éischt de Fehler an: Opléisung, Transport, Validéierung an duerno Politik. Nëmmen déi drëtt gehéiert zu DNSSEC, an nëmmen déi zweet gehéiert zu verschlësseltem Transport.